AirDroid dính lỗi bảo mật lớn có thể khiến người dùng mất thông tin cá nhân

AirDroid là một trong vô vàn những dịch vụ cho phép người dùng Android gửi và nhận tin nhắn, cũng như truyền dữ liệu và thấy được thông báo của smartphone từ máy tính của mình. Theo dữ liệu cửa hàng ứng dụng Play Store, AirDroid đã có tới khoảng 10 đến 50 triệu lượt cài đặt (không tính những người cài đặt trực tiếp file APK từ trang web của AirDroid). Công ty bảo mật di động Zimperium mới đây đã đưa ra nhiều thông tin về nhiều lỗi bảo mật lớn của AirDroid, cho phép những hacker cùng mạng lưới wifi có quyền truy cập vào thông tin người dùng, và thậm chí còn có thể thực hiện chạy một số đoạn mã trên điện thoại của chủ sở hữu.

Lỗ hổng bảo mật này là do AirDroid đã sử dụng cùng một yêu cầu giao thức HTTP để cấp quyền cho các thiết bị và gửi đi dữ liệu sử dụng. Mặc dù đã được mã hóa, tuy nhiên nhà sản xuất lại sử dụng một mã nguồn trong ứng dụng AirDroid (vì vậy về mặt bản chất, mọi người dùng app này đều có một mã nguồn giống hệt nhau). Những tin tặc chặn một yêu cầu đang được gửi (được biết tới như là một cuộc tấn công vào trung gian) bằng cách sử dụng mã nguồn lấy từ bất kỳ file APK AirDroid nào để lấy được thông tin cá nhân trong tài khoản. Trong đó bao gồm cả địa chỉ email và cả mật khẩu của tài khoản AirDroid.

Tuy nhiên mọi chuyện còn tệ hơn thế. Hacker sử dụng một proxy để ẩn danh rồi sau đó ngăn chặn yêu cầu kiểm tra cập nhật tiện ích của Airdroid đã gửi đi, và chèn bất kỳ file APK nào mà họ muốn vào đó. AirDroid sau đó sẽ có thông báo nâng cấp add-on cho người dùng, rồi download file APK độc hại và yêu cầu họ đồng ý cài đặt.

Zimperium nhận thấy lỗi này vào ngày 24/5, và một vài ngày sau, AirDroid cũng đã nhận biết được vấn đề nghiêm trọng này. Zimperium tiếp tục theo dõi cho tới khi AirDroid thông báo tung ra bản cập nhật 4.0 vào tháng trước. Zimperium phát hiện ra rằng phiên bản mới 4.0 vẫn gặp vấn đề tương tự, và cuối cùng họ đã phải công bố về sự cố bảo mật trong ngày hôm nay.

Tóm gọn lại, những tên tin tặc cùng sử dụng AirDroid có khả năng đánh cắp thông tin người dùng (bao gồm cả tài khoản và mật khẩu của bạn), cũng như cài đặt từ xa những phần mềm độc hại lên smartphone của bạn bằng cách giả trang làm cập nhật ứng dụng tiện ích. San Studio (công ty phát triển ra AirDroid) đã có tới 7 tháng để sữa lỗi này, tuy nhiên họ đã không làm vậy. Nếu như bạn đang sử dụng AirDroid, bạn nên tắt nó đi và gỡ cài đặt ngay lập tức.

AirDroid đã phản hồi bằng một bài viết trên website của mình, giải thích rằng họ hy vọng rằng sẽ có thể sửa chữa nó trong 2 tuần. Sand Studio đã cố gắng tung ra bản cập nhật AirDroid 4.0 vào thời điểm phát hiện lỗ hổng, và tập trung mọi nguồn lực để hoàn hành bản cập nhật trước khi đi vào sửa lỗi. Nhiều chuyên gia và các nhà phát triển cho rằng lẽ ra AirDroid nên tạm hoãn phát triển bản 4.0, mà thay vào đó là một bản sửa lỗi, rồi sau đó mới tiếp tục làm việc với bản 4.0. Vào thời điểm hiện tại, chính AirDroid đang khuyên người dùng không nên kết nối với mạng Wifi khi sử dụng app này.

Theo Digital Trends